Nette CVE-2020–15227 testing tool

9.10. 05:45 | poslední úprava: 9.10. 16:19

Ahoj!

Dneska jen strucne, pripravil jsem tool na testovani zda li je web nachylny na bezpecnostni chybu v Nette frameworku CVE-2020–15227...
Tool je dostupny na:
https://salamek.cz/nette-test.php?url=https://example.com
kde parametr url je URL na root testovaneho webu napsaneho v Nette.

PS: Zdrojak neni dostupny z duvodu zamezeni zneuziti nejakymi script kiddies, a ti schopnejsi na to prijdou z GIT diffu nebo access.log... Tool vznikl z duvodu otestovani mnou provozovanych webu pred/po aplikaci patche
2020-10-09 14:16:40 UTC: Pridano info co jednotlive testy delaji a pridan zdrojak payload souboru a hook endpointu        

Komentáře

[bigBRAMBOR]

hacknete si sami misto me svuj server

[Aleš Kapica]

A jak myslíš, že se to dělá? Za sebe musím říct, že pokud bych si nechal dělat audit na web, tak pro jistotu současně od dvou vzájemně nezávislých subjektů, protože nemůžeš vědět, jestli ten jeden něco neopomene, či ještě hůř, ten tvůj web nenainfikuje.

[bigBRAMBOR]

ano, pokud na to mas firmu na audit, sepisete o tom nejakou smlouvu, sankce, NDA - pustit neco z linku ulozeneho na abclinuxu.cz jako, ze to otestuje server, ale zdrojaky neukazu je krajne rizikove chovani

[Aleš Kapica]

To nerozporuji. Ale chápu, proč ty zdrojáky nechce dát veřejně k dispozici. Předpokládám, vzhledem k jeho poznámce, že autoři nette už tu chybu opravili, takže řešil situaci jak upozornit ty, co ten framework používají, že by měli ve vlastním zájmu udělat upgrade. Bohužel je fakt, byť smutný, že si firmy nechají splácat od někoho web a ten běží v nějakém kontejneru tak dlouho, dokud ho někdo nenabourá. Jen málokdo provozuje nějaký web a průběžně ho aktualizuje. Já to dělám jen v případě že si to něco vynutí. Většinou je ekonomicky přijatelnější si nechat od někoho jiného splácat web nový.

[Salamek]

test nijak nemeni kod ciloveho webu ani nepridava zadny explot etc. overit si to muzes nasmerovanim testu na web kde mas pristup k access.log a uvidis co to dela, vse to jsou GET requesty...

[bigBRAMBOR]

coz zjistim z logu az to provedu. Jde uplne jasne o socialni hacking, spuste si sami kod na hacknuti stranky, neco jako kdysi ten veselej vir, vzhledem k zaostalosti nasi zeme vam nemuzeme nijak ublizit, prosim smazte si nejake soubory a poslete me dal.

[jiwopene]

Je možné si to spustit nad nějakou testovací instancí toho, co chcete testovat, ve virtuálu (a s omezenou sítí, …) a potom totéž ověřit a zopakovat manuálně tam, kde potřebujete.

[Salamek]

Ehm nemam problem napsat crawler a za ~24h projet cely cesky internet... ale proc bych to delal kdyz nejsem cracker ani zlodej?

[Josef Kufner]

GET neznamená, že nemůže měnit data.

[Salamek]

No Shit Sherlock, bylo to mysleno tak ze v access.log jde u GET requestu videt vse, u POST nevidis body

[Cabrón]

I to se dá, např. v nginx stačí někde definovat log_format postdata $request_body; a potom v příslušném server nebo location bloku mít access_log /var/log/www/moje-super-nette-aplikace.log postdata;

[Max]

Tak Salámkovi se dá věřit...pokud mu věříte :).
Zdar Max

[Josef Kufner]

Poskytneš pak nějaké zajímavé statistiky z nasbíraných dat?

[Salamek]

Nesbiram zadna data krome access.log ktery generuje nginx.
test id slouzi pouze k internimu porovnani request/response request/hook... data hooku jsou mazana hned po provedeni testu...

[debian+]

Dik.

[kvr]

Snaha dobrá, ale script kiddies to asi příliš neomezí. Nechcu malovat čerta na zeď, ale i bez zdrojáků lze celkem snadno zjistit, co to asi dělá...

Jinak, expert na Nette nejsem, ale přijde mi ten fix jako z bláta do louže. V JEE jsou na interní věci request attributes a něco takového se tam nemůže stát. Tohle je v principu chyba návrhu. Chápu, že vyřešit to správně by potenciálně znamenalo rozbít existující systémy (tedy, pokud to někdo využívá).

[Salamek]

Dyt to tam pisu ze schopejsi lidi si to zjisti z GIT diffu nebo access.log, jde mi to jim to nenaservirovat na taliri

[Odin1918]

Jo, at zije sablonovaci jazyk php.